«Compliance: Más allá de la responsabilidad penal», artículo de María González, asociada senior de ECIJA, para Actualidad Jurídica Aranzadi.

El Compliance sigue adquiriendo notoriedad y está suponiendo una “revolución” en la gestión de las organizaciones de nuestro país a la hora de adoptar una cultura del cumplimiento, encaminada a evitar, o al menos minorar, el riesgo de comisión de ilícitos.

Pero la cultura de cumplimiento que supone el Compliance debe ir más allá, debemos hablar de un cumplimiento preventivo, proactivo y por supuesto reactivo. Una cultura de cumplimiento que debe estar basada en la gestión de riesgos vinculados a la actividad y cada uno de los procesos de la compañía, y que debe abarcar cada uno de los activos vinculados a los mismos.

Así, el Compliance va más allá de la elaboración de Modelos de Prevención de Delitos, Códigos Éticos y la posible responsabilidad penal de las personas jurídicas. El Compliance lleva implícita la gestión de un buen gobierno corporativo, comprometido y responsable con el cumplimiento de todas las normas, códigos y estándares que sean de aplicación a la entidad o a los que ésta se encuentre adherida de forma voluntaria.

Los orígenes del Compliance están vinculados a diversos escándalos financieros y de corrupción desde los años 70 y 80 y a lo largo de los últimos años. Es en el año 77 cuando se publica  en Estados Unidos la Foreign Corrupt Practices Act o FCPA  y se crean organismos dedicados a proporcionar guías de buenas prácticas para la implantación de sistemas de control interno, la gestión de riesgos empresariales y la prevención del fraude, así como la redacción de los informes COSO I (1992) y COSO II (2004),  que han supuesto la base de la metodología sobre cómo llevar a cabo la gestión de riesgos corporativos y el control interno de los mismos.

Supone un punto de inflexión en materia de Compliance la promulgación de la Ley Sabanes Oxley, que tras nuevos escándalos como Enron, Tyco Internacional o World Com, exige condiciones legales muy estrictas y exigentes en relación con la exactitud y veracidad de la información que divulgan las empresas y los controles internos implantados para garantizar dicho cumplimiento, y cuya aplicación se extendió, tanto en EEUU como en Europa.

Otras normativas se han ido incorporando paulatinamente al Compliance, tanto en el ámbito internacional como nacional. Así, la normativa sobre protección de datos personales, protección de los consumidores y usuarios, prevención del blanqueo de capitales y financiación del terrorismo, o normas sectoriales como la reguladora del sector financiero y asegurador, con Directivas como Solvencia II o MIFID, que tienen su reflejo en normativas nacionales como la normativa de ordenación, supervisión y solvencia de las entidades aseguradoras del pasado año 2015,  y que imponen a las compañías, cada día más, controles no solo sobre el ejercicio propio de su actividad, sino también sobre los principios establecidos en materia de gobierno corporativo, transparencia, etc.

Pero ¿cómo implantar esta cultura de cumplimiento con marcos normativos tan amplios? Estándares como la ISO 19600, que aunque no especifica requisitos sino directrices, proporciona orientación para establecer, desarrollar, implementar, evaluar, mantener y mejorar un sistema de gestión de Compliance eficaz.

Algunos requisitos que deberá cumplir un sistema de gestión de Compliance eficaz son los siguientes:

• que permita prevenir el incumplimiento de obligaciones o la comisión de ilícitos, y que puedan llevar aparejada responsabilidad civil, administrativa o incluso penal de la persona jurídica
• que permita difundir la cultura de prevención y cumplimiento en la organización, desde la Dirección al último empleado de la compañía.
• que establezca medidas de vigilancia y control idóneas, que permitan la medición del cumplimiento y la detección de posibles vulnerabilidades, y que facilite la supervisión y control por parte de los órganos supervisores dentro de la compañía (DPO, compliance officer, Comité Compliance, o los departamentos de auditoria interna, riesgos o compliance ),

Como otros sistemas de gestión, la metodología propuesta por la ISO 19600 se basa en el ciclo PDCA (Planificar, Desarrollar, Controlar, Actuar) es decir, en primer término, definir el marco normativo, teniendo en cuenta la normativa general y especifica de aplicación; analizar las actividades y riesgos de la compañía, diseñando y planificando las acciones correctivas que permitan la minoración del riesgo; desarrollar y ejecutar la implantación de las acciones definidas; controlar y verificar la eficacia de las acciones establecidas; y actuar en base a los resultados obtenidos por los controles llevados a cabo con la finalidad de volver a definir acciones correctivas.